Транзитивная зависимость Maven показывает более старую версию, хотя родительский пакет обновляется в DependencyManagemen ⇐ JAVA

[Anonymous]

У меня есть следующий POM (не полный файл):

Код: Выделить всё

UTF-8
11
11

2.4.0
2.5.15





org.springframework.boot
spring-boot-starter-web
${spring.boot.starter.web.version}



org.springframework.boot
spring-boot-dependencies
${spring.boot.version}
pom
import







org.springframework.boot
spring-boot-starter-web
${spring.boot.starter.web.version}








maven-clean-plugin
3.1.0



maven-resources-plugin
3.0.2


maven-compiler-plugin
3.8.0


maven-surefire-plugin
2.22.1


maven-jar-plugin
3.0.2


maven-install-plugin
2.5.2


maven-deploy-plugin
2.8.2



maven-site-plugin
3.7.1


maven-project-info-reports-plugin
3.0.0

Когда я запускаю:

Код: Выделить всё

mvn dependency:tree -Dincludes=org.springframework:spring-webmvc -Dverbose

Я получаю следующий результат:

Код: Выделить всё

[INFO] Scanning for projects...
[INFO]
[INFO] --------------------------<  com.example:demo >--------------------------
[INFO] Building demo 1.0-SNAPSHOT
[INFO]   from pom.xml
[INFO] --------------------------------[ jar ]---------------------------------
[INFO]
[INFO] --- dependency:3.6.1:tree (default-cli) @ demo ---
[INFO] com.example:demo:jar:1.0-SNAPSHOT
[INFO] \- org.springframework.boot:spring-boot-starter-web:jar:2.5.15:compile
[INFO]    \- org.springframework:spring-webmvc:jar:5.3.1:compile (version managed from 5.3.27)
[INFO] ------------------------------------------------------------------------
[INFO] BUILD SUCCESS
[INFO] ------------------------------------------------------------------------

Проблема здесь в том, что я переопределил Spring-boot-starter-web в DependencyManagement и объявил его перед Spring-Boot-Depending, используемая версия Spring-Webmvc по-прежнему 5.3.1, а не 5.3.27, или я неправильно понимаю значение (версия, управляемая с 5.3.27).
Версия 2.5.15 Spring-boot-starter-web использует версию 5.3.27 весеннего-webmvc. Я вынужден использовать эту версию из-за проблем с уязвимостями, обнаруженных сканером пакетов.


Подробнее здесь: https://stackoverflow.com/questions/786 ... kage-is-up